RODC（只读域控制器）使用 WCF Windows 身份验证转发到 RWDC 的问题答案

【问题标题】：Problem with RODC (Read Only Domain Controller) forwarding to RWDC with WCF Windows AuthenticationRODC（只读域控制器）使用 WCF Windows 身份验证转发到 RWDC 的问题
【发布时间】：2021-12-23 17:23:55
【问题描述】：

我有一个关于 RODC 转发的问题。

有一个 WPF 应用程序调用配置了 Net.Tcp 绑定和 Windows 身份验证的 WCF 服务（如这里） https://docs.microsoft.com/en-us/dotnet/framework/wcf/feature-details/message-security-with-a-windows-client 在场外场景中。

出于安全原因，在该场外仅安装了 RODC。现在的问题是，如果 WCF 请求客户端 (WPF) 上的 Kerberos-Ticket，它会请求 RODC，并且此控制器会将其请求重定向到 RWDC（即连接速度较慢的其他地方）。

因此调用变得非常缓慢，有时还会因为 AD 通信而超时。

那么有没有办法告诉 WCF 使用带有兑现凭据的 RODC，以便 RODC 可以直接使用 Kerberos 票证进行响应

非常感谢您的输入

【问题讨论】：

如果DNS也安装在同一台服务器上，请尝试在hosts文件中配置RODC IP地址。
你好@Roland Gelbmann，如果我的回答对你有帮助，你可以投票并接受它作为答案（点击答案旁边的复选标记，将其从灰色切换为填充。）。这对其他社区成员可能是有益的。谢谢。

标签： wcf redirect active-directory kerberos readonly

【解决方案1】：

• 当用户/服务向 RODC 进行身份验证时，会执行检查以查看密码是否已缓存。如果密码被缓存，RODC 将在本地验证用户帐户。如果用户的密码没有被缓存，那么 RODC 会将身份验证请求转发到可写的 Windows Server 域控制器，该控制器进而对帐户进行身份验证并将经过身份验证的请求传递回 RODC。一旦用户帐户通过身份验证，RODC 会再次请求在单向复制中复制用户密码，前提是该帐户已配置为允许复制。因此，请检查您的凭据是否正确缓存在控制面板的凭据管理器/保险库中。

• 在您的情况下，如果您希望 WCF 优先考虑缓存凭据的身份验证请求以将其发送到 RODC，您应该将 RODC 的权重配置为高于您站点的其他 DC，因为身份验证由站点和服务管理AD 环境。正如您所说，出于安全原因，您在异地设置 RODC，然后在主域控制器中正确配置相应站点及其相关子网，以便将该站点中的身份验证请求优先级重定向到 DC相应的子网/站点。这可能会帮助您解决身份验证重定向问题。

您还可以执行以下操作以在该站点中优先考虑 RODC 进行身份验证：-

将 RODC 移动到活动站点和服务中的新站点，然后将子网分配给该新站点。请记住创建站点链接以将新站点链接到其他站点。
对于 RDOC，将 LdapSrvPriority 设置为零，对于可写 DC，将其设置为更高的值。 (HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\LdapSrvPriority)

【讨论】：

嗨，感谢您的回答和详细解释，现在进一步检查似乎 WCF 不支持 RODC 根据缓存的用户密码获取票证所需的 KRB_AS_REQ
RODC 而不是直接将此 TGS 票证转发到计算机，它使用户生成一个新的 KRB_AS_REQ，因为它下次不必依赖 RWDC 进行身份验证。现在再次为用户生成 KRB_AS_REQ，因为密码已经被缓存，RODC 本身使用 RODC krbtgt 帐户以 KRB_AS_REP 响应现在再次使用 KRB_TGS_REQ 使用用户的 KRBTGT 帐户生成新的 TGS 票证。这次 RODC 能够发出 KRB_TGS_REP 允许用户访问他的计算机来源：mohanrav.wordpress.com/2012/03/15/…
不知道是否真的是这样，因为对我来说，WCF SSPI 身份验证似乎也应该知道并使用 RODC
那么这个文档链接可能会对您有所帮助。请参考它并确定您在使用 WCF SSPI 身份验证时遇到的问题：-docs.microsoft.com/en-us/dotnet/framework/wcf/feature-details/…